Nos derniers articles

Addressing Adversarial Machine Learning (𝗔𝗠𝗟) in financial systems is like designing a bank vault: not only must the vault be robust enough to withstand sophisticated attacks (𝗔𝗠𝗟 𝗱𝗲𝗳𝗲𝗻𝘀𝗲𝘀), but regulators also require that the complex mechanisms inside are transparent and explainable to auditors (𝗲𝘅𝗽𝗹𝗮𝗶𝗻𝗮𝗯𝗶𝗹𝗶𝘁𝘆 𝗿𝗲𝗾𝘂𝗶𝗿𝗲𝗺𝗲𝗻𝘁𝘀). Meanwhile, the bank must ensure that the security measures don't slow down transactions (𝗽𝗲𝗿𝗳𝗼𝗿𝗺𝗮𝗻𝗰𝗲 𝗱𝗲𝗴𝗿𝗮𝗱𝗮𝘁𝗶𝗼𝗻/𝗮𝗰𝗰𝘂𝗿𝗮𝗰𝘆 𝘁𝗿𝗮𝗱𝗲-𝗼𝗳𝗳) and that its staff has the specialized knowledge to operate and repair the mechanism (𝘀𝗸𝗶𝗹𝗹𝘀 𝗴𝗮𝗽).

Après un cycle de durcissement, le marché de l'assurance d'entreprise amorce pour 2025-2026 un rééquilibrage progressif, mû par une augmentation des capacités des assureurs et une concurrence accrue. Cette dynamique se matérialise par des baisses de primes significatives, notamment sur le risque cyber où les réductions atteignent -20% à -40% pour les profils les mieux maîtrisés. Cette tendance n'est cependant pas uniforme ; des secteurs comme le public, l'hospitalier et la logistique demeurent soumis à des conditions plus strictes. Parallèlement, les contextes géopolitique et climatique imposent de nouvelles contraintes : le premier entraîne une standardisation des clauses d'exclusion (guerre, sanctions), tandis que les deux conjugués exacerbent la vigilance des assureurs. Cette embellie, qualifiée par les experts d'opportunité potentiellement temporaire, constitue une fenêtre stratégique que les entreprises, PME et ETI en tête, doivent exploiter pour optimiser leurs programmes, tout en restant vigilantes face aux signaux de durcissement internationaux.

European insurers continue to advance digitalization, but cyber risk remains a material strategic threat. According to EIOPA Q3 2025 and National Competent Authorities:
Overall risk: Medium
Outlook: Increasing
Supervisory concern: Elevated

Cet article détaille l'évolution des produits au-delà de l'assurance cyber traditionnelle, tels que la (ré)assurance cyber, les garanties, l'assurance paramétrique et les obligations catastrophe cyber.

Il caractérise la manière dont ces solutions ont abordé quatre défis fondamentaux : adapter la couverture au paysage des menaces, gérer la solvabilité, la collecte de données pour l'évaluation des risques, et créer des incitations à la réduction des risques.

Il retrace la progression du marché à travers des phases distinctes — cyber expérimental, assurance contre les violations de données et l'épidémie de rançongiciels — soulignant le passage des questionnaires de sécurité autodéclarés à la collecte de données automatisée et aux partenariats avec les fournisseurs de technologie.

En fin de compte, les auteurs concluent que la (ré)assurance cyber basée sur l'indemnisation a été le mécanisme le plus réussi pour transférer les risques, malgré les défis continus en matière de modélisation et d'agrégation du risque de catastrophe cyber.

De nombreuses formations en cybersécurité restent inefficaces, voire contre-productives, car elles reposent sur la conformité plutôt que sur la culture de sécurité. Les approches punitives ou ponctuelles créent un faux sentiment de sécurité, de la honte et du désengagement. Pour renforcer durablement les réflexes, il faut privilégier des incitations douces, des rappels réguliers et une personnalisation selon les rôles. Le changement passe par la transformation des attitudes et des habitudes, non par la peur. L’objectif : faire de la sécurité un réflexe naturel, intégré au quotidien, plutôt qu’un test à réussir.

Le Comité mixte des AES (Autorités européennes de surveillance) a établi un plan global axé sur la mise en œuvre et la supervision du règlement DORA. Un pilier central en est le cadre de surveillance DORA, dans lequel le Forum de surveillance désignera les prestataires tiers critiques (CTPPs) d’ici la fin de l’année 2025.
À partir de 2026, un superviseur principal sera désigné pour chaque CTPP. Celui-ci, assisté par des équipes conjointes d’examen (JETs), mènera des évaluations des risques et des activités de supervision directe, qui serviront à élaborer des plans de surveillance individuels annuels ainsi que des plans stratégiques pluriannuels.
Ce cadre vise à surveiller les risques liés aux prestataires tiers TIC afin de réduire les risques de concentration et les risques transsectoriels. Un objectif parallèle clé est de favoriser la convergence de la supervision, afin d’assurer une mise en œuvre et une supervision harmonisées du cadre DORA à travers l’Union européenne.
Les AES mettent également en œuvre de nouvelles fonctions prévues par DORA, notamment la collecte de rapports d’incidents liés aux TIC afin d’alimenter les activités de surveillance et d’apporter une meilleure compréhension de la supervision des risques TIC au sein des entités financières. Elles mettent aussi en place le cadre européen de coordination des incidents cybernétiques systémiques (EU-SCICF), destiné à renforcer la réponse au niveau de l’UE face aux incidents systémiques menaçant la stabilité financière.
L’objectif ultime de cet ensemble d’actions est de renforcer considérablement la résilience opérationnelle numérique et la stabilité du secteur financier de l’Union européenne.

Le rapport 2024 sur la convergence de la supervision de l’EBA fait de la mise en œuvre de DORA une priorité stratégique européenne pour 2024–2026. L’Autorité renforce les capacités des superviseurs via la Supervisory Digital Finance Academy, soutenue par la Commission européenne. La hausse des questions liées à DORA révèle les défis du secteur : gestion des prestataires TIC, incidents, prestataires critiques et registre d’informations. Les institutions financières doivent s’attendre à une supervision plus technique et rigoureuse, et renforcer leurs dispositifs de résilience opérationnelle numérique pour répondre à des autorités mieux formées et plus exigeantes.

EBA has designated the development of supervisory capacity for DORA as a top-tier Union-wide strategic supervisory priority for the 2024-2026 cycle. Underscoring this priority are pressing industry concerns, evidenced by the submission of 28 new Q&As focused on 𝗗𝗢𝗥𝗔’𝘀 𝗽𝗿𝗶𝗺𝗮𝗿𝘆 𝗶𝗺𝗽𝗹𝗲𝗺𝗲𝗻𝘁𝗮𝘁𝗶𝗼𝗻 𝗵𝘂𝗿𝗱𝗹𝗲𝘀: 𝗜𝗖𝗧 𝘁𝗵𝗶𝗿𝗱-𝗽𝗮𝗿𝘁𝘆 𝗿𝗶𝘀𝗸 𝗺𝗮𝗻𝗮𝗴𝗲𝗺𝗲𝗻𝘁, 𝘁𝗵𝗲 𝗺𝗮𝗻𝗮𝗴𝗲𝗺𝗲𝗻𝘁 𝗮𝗻𝗱 𝗿𝗲𝗽𝗼𝗿𝘁𝗶𝗻𝗴 𝗼𝗳 𝗜𝗖𝗧-𝗿𝗲𝗹𝗮𝘁𝗲𝗱 𝗶𝗻𝗰𝗶𝗱𝗲𝗻𝘁𝘀, 𝘁𝗵𝗲 𝗼𝘃𝗲𝗿𝘀𝗶𝗴𝗵𝘁 𝗼𝗳 𝗰𝗿𝗶𝘁𝗶𝗰𝗮𝗹 𝗽𝗿𝗼𝘃𝗶𝗱𝗲𝗿𝘀, 𝗮𝗻𝗱 𝘁𝗵𝗲 𝗺𝗮𝗶𝗻𝘁𝗲𝗻𝗮𝗻𝗰𝗲 𝗼𝗳 𝘁𝗵𝗲 𝗿𝗲𝗴𝗶𝘀𝘁𝗲𝗿 𝗼𝗳 𝗶𝗻𝗳𝗼𝗿𝗺𝗮𝘁𝗶𝗼𝗻. In response, the EBA is executing a significant capacity-building initiative, delivering intensive, advanced training to supervisors through the Supervisory Digital Finance Academy (SDFA)—a multi-year effort coordinated with and backed by the European Commission. This convergence of strategic prioritization, targeted industry queries, and comprehensive supervisory training signals a new era of heightened and more sophisticated regulatory scrutiny. In consequence the digital operational resilience frameworks must be prepared to withstand proactive, in-depth, and increasingly specialized reviews from better-equipped competent authorities.

Les recommandations d’Insurance Europe, publiées en amont du paquet « Omnibus numérique » de la Commission européenne, proposent des règles numériques européennes plus claires et cohérentes. L’organisation considère le secteur de l’assurance comme un acteur central de la transition numérique de l’Europe, soulignant ses investissements dans la cyber-résilience, l’utilisation responsable des données, ainsi que dans les outils d’intelligence artificielle permettant d’accélérer les indemnisations, d’améliorer la prévention, de renforcer la sécurité des données et d’élargir l’accès des consommateurs.

Le cadre réglementaire existant — comprenant notamment le règlement sur l’IA (AI Act), le RGPD, le règlement DORA et l’Acte sur la cyber-résilience (CRA) — est décrit comme complexe, en raison d’exigences qui se chevauchent. Cette situation entrave la mise en œuvre pratique des règles et détourne des ressources qui pourraient être consacrées à l’amélioration des services.

Les recommandations appellent à :
• des clarifications sur le champ d’application de l’IA afin d’éviter les chevauchements avec la législation financière ;
• une réduction des obligations de reporting répétitives dans le cadre de DORA, en s’appuyant sur les certifications existantes ;
• une harmonisation des règles de cybersécurité et d’informatique en nuage entre DORA, le CRA et les cadres nationaux et des orientations plus claires concernant le RGPD, l’AI Act et le Data Act pour l’utilisation des données dans la formation des IA et leur anonymisation.

Ces ajustements permettraient de réorienter les ressources vers une meilleure gestion des sinistres, une protection renforcée contre la cybercriminalité, une prévention accrue et des produits plus accessibles pour les consommateurs.

Insurance Europe's recommendations ahead of the EU Commission’s Digital Omnibus package propose clearer and more consistent EU digital rules. The organization views the insurance sector as central to Europe's digital transition, citing its investments in cyber resilience, responsible data use, and AI tools for faster claims, improved prevention, safer data handling, and expanded consumer access.
The existing framework—including the AI Act, GDPR, DORA, and Cyber Resilience Act— is described as creating complexity through overlapping requirements, which hinders practical application and diverts resources from service enhancements.
The recommendations call for clarifications on AI scopes to avoid duplication with financial laws; reduced repetitive reporting under DORA with use of existing certifications; alignment of cybersecurity and cloud rules across DORA, CRA, and national frameworks; and clearer guidance on GDPR, AI Act, and Data Act for data use in AI training and anonymization.
These adjustments would redirect resources to better claims, cyber protection, prevention, and accessible products.